暗号資産ウォレットのSafePal、注文追跡プラグインの不備により約4万人の顧客情報が流出

要点

• 暗号資産ハードウェアウォレット大手のSafePalは、注文追跡プラグインの認証欠陥により、顧客約3万9798人分の個人情報が閲覧可能な状態になっていたと発表した。

• 流出した情報には氏名、メールアドレス、配送先住所、電話番号、注文詳細が含まれるが、暗号資産の秘密鍵やパスワード、財務情報は含まれていない。

• 影響を受けたのは2025年3月2日から2026年4月11日までの注文で、設定ミスによってデータ削除処理が停止していたことが対象期間の拡大につながった。

• 同社は脆弱性の修正とともにデータ保管期間を90日間に短縮し、不審な連絡やハードウェアの配送に注意するよう顧客に呼びかけている。

• 暗号資産（仮想通貨）の管理端末を手がけるSafePal（セーフパル）は、同社の注文処理システムで使用されていた注文追跡プラグインに認証の欠陥が存在し、顧客約3万9798人分の個人情報が外部から不正に閲覧できる状態になっていたことを明らかにした。同社は2026年8月16日、影響を受けたすべての顧客に対して個別の電子メールで通知を行ったとしている。

• 発表によると、このインシデントによってウォレット内の資産や暗号資産へのアクセス権が侵害された証拠は確認されていないという。

流出データの範囲とウォレット資産への安全性

今回の事案で外部に露出したのは、対象顧客の氏名、電子メールアドレス、配送先住所、電話番号、ならびに購入した注文の詳細情報である。

一方でSafePalは、ハードウェアウォレット（暗号資産の秘密鍵をオフラインの物理デバイスで保管する専用端末）の利用において中核となる認証情報や、金融関連のデータは流出していないと説明している。具体的には、ウォレットを復元するための英単語の並びであるシードフレーズをはじめ、秘密鍵、ウォレットのパスワード、銀行口座情報、クレジットカード番号、政府発行の身分証明書番号などは含まれていない。また、顧客が保有する暗号資産の種類や残高、ウォレットのアドレス自体も流出データには含まれていないという。

認証欠陥の詳細とデータ削除プロセスの不具合

SafePalの説明によれば、注文追跡プラグインに存在した認証の不備により、特定の条件下において別の顧客の注文情報を不正に取得できる状態が生じていたという。なお、該当するプラグインの名称や開発元、バージョン、および脆弱性識別番号（CVE）は公表されていない。

対象となるのは、2025年3月2日から2026年4月11日までの期間に発注された注文データである。この期間は注文が行われた日付を示しており、脆弱性が実際に悪用可能だった期間や、不正アクセスが開始・終了した正確な時期、アクセスした第三者の数などは明らかにされていない。

また、影響範囲が過去にさかのぼって長期に及んだ背景として、別のシステムトラブルが関係していたことも判明した。同社では本来、一定期間が経過したデータを削除する定期クリーンアップ処理が設定されていたが、設定ミスが原因で2025年9月から2026年4月までの間、この処理が正常に動作していなかった。SafePalはこの問題自体が不正アクセスを引き起こしたわけではないとしつつも、過去の注文データが想定より長くサーバーに残存していたことで、対象期間が2025年3月まで広がったと説明している。

発覚の経緯とダークウェブでのデータ販売

SafePalによると、この問題に合致する最初の報告が寄せられたのは2026年5月初旬であった。当時は個別の事象として処理されていたものの、その後正式なセキュリティ調査へと引き上げられ、保護対策が追加されたという。

同社は2026年7月に注文処理パイプラインの全面的な見直しと再構築を開始し、その作業の過程で根本原因を特定したとしている。なお、5月に不審なメールを受け取った顧客からの報告があったものの、原因の特定と確認までに8月まで時間を要した経緯について、同社は公式のQ&Aで説明を行っている。

一方で、2026年8月16日には脅威アクターがサイバー犯罪フォーラムにおいて、SafePalの公表内容と同じ注文期間・顧客数を掲げたデータセットの販売を告知していることが確認された。販売者は購入希望者に対し、SafePalが用意した検証ツールで照合できるよう注文IDや配送先国情報を提供するとしていたが、SafePal側はこの販売告知に関する公式な声明を現時点で出していない。

住所流出に伴う詐欺や物理的リスクへの警戒

個人を特定できる氏名や自宅住所が「ハードウェアウォレットの購入」という事実と結びついたことから、SafePalは影響を受けた顧客に対し、詐欺やフィッシング攻撃への警戒を強く呼びかけている。具体的には、同社をかたる不審な電話、メール、SMS、ダイレクトメール、返金の案内、偽のファームウェア更新要求、偽のカスタマーサポートからの連絡などに注意するよう求めている。また、電話や郵便、対面を問わず、心当たりのない連絡やハードウェアの配送があった場合は疑いを持つよう求めた。

背景として、ブロックチェーン分析企業のChainalysis（チェイナリシス）の調査では、暗号資産保有者を物理的に狙った暴力事件が2026年6月下旬までに世界で46件確認され、3000万ドル以上が奪われたと報告されている。暗号資産は即座に不可逆的な送金が可能であるため、犯罪者にとって標的になりやすいという実態がある。

SafePalが講じた是正措置

SafePalは今回の問題を受け、以下のような一連の対策を実施したと発表している。

• プラグインの脆弱性を修正し、追加のセキュリティ対策を導入
• 注文処理環境における個人情報の保管期間を、法的要件の範囲内で最大90日間に短縮
• 影響を受けたデータを稼働中のサーバーから消去し、捜査支援用として隔離されたオフラインバックアップのみを保持
• 修正内容の検証とシステム全体のレビューを行うため、独立した第三者のセキュリティ専門企業に調査を依頼
• 外部の物流・配送パートナーに対し、問題が各社のシステムへ波及していないかを確認
• 詐欺活動に関連する30件以上の不正ウェブサイトやフィッシングリンクのテイクダウン（不正サイトを外部機関に要請して停止・削除させる措置）を実施
• 注文IDを用いて顧客自身が影響の有無を確認できるステータス確認ページを開設

なお、同様にハードウェアウォレットを提供するTrezor（トレザー）も数日前に配送業者の侵害被害を公表していたが、同社では以前から導入されていた90日間のデータ保持ポリシーによって被害を最小限に抑えられたとしていた。SafePalも保管期間の厳格化などを進めることで、リスクの低減を図る構えだ。